Вопрос профи по php

а что часто брутят?

ну только еще разрабатываю, хотел изначально защитится от таких примитивных хотя бы брутов.

записывать надо ip. А лучше не изобретат велосипеды, а пользоваться фреймворками

А фреймворк - это не изобретенный велосипед ? :)

Какой IP? Куда? А если у вас на сайте открыто 100 соединений с одним и тем же IP?

Изобретайте велосипеды. В какждом велосипеде можно улучшить раму, подобрав лучший сплав, улучшить руль под ваши нужны, сидушку можно пошить из особой ткани и т.д. По сей день велосипеды улучшаются и успешно продаются. В этом случае, ТС-у, конечно, не плохо было бы воспользоваться готовыми решениями, но я считаю, что если человек делает самостоятельно, то он больше понимает механизмы.

ТС, по теме, если ваш юзер переключится с бразера на браузер, сессия разорвется любая. Я бы использовал сохранение в БД IP + HTTP_X_FORWARDED_FOR.

А можно поподробнее? где можно увидеть похожий пример реализации?

Просто если записывать только IP, ведь может быть нормальный пользователь с данного IP и бот который брутит вас.

Не плохой вариант. Делайте так:

Пишите количество запросов к юзеру в БД (как вы понимаете, сессии подменить можно);

После x неверных попыток ввода - выводите капчу и дайте пользователю ещё y попыток (то есть, например, 2 попытки без капчи и 8 с капчей). Потом бан на z минут/часов/дней.

Ну и, конечно, отдельно пишите IP в лог. Если с 1 ip неправильно указан пароль к 2 (например) аккаунтам - в бан на z минут/часов/дней.

leprekon, а как быть с 2-мя пользователями с 1 IP? получается 1-го будут всё время блокировать зря?

Мало вероятно, что оба пользователя с одного ip будут одновременно логиниться. Поэтому, если юзер успешно залогинился, ему выдается сессия, бан по ip должен учитывать сессию, или по другому - бан должен быть только на странице авторизации.

Ну мало вероятно, это самый легкий вариант....

Может кто-то предложит что-то более разумное?